Une entreprise utilise ADFS sur site avec le SSO pour l'accès à la console de gestion AWS. Une ancienne application web a été migrée vers une instance Amazon EC2 et n'inclut pas d'authentification intégrée. Les employés doivent accéder à l'application depuis n'importe où sur Internet, mais l'accès doit être restreint aux seuls employés, sans modifier l'application. Comment un ingénieur en sécurité devrait-il implémenter cela ?

La solution correcte consiste à placer l'application derrière un Application Load Balancer (ALB) et à configurer l'authentification Amazon Cognito sur l'ALB. En créant un pool d'utilisateurs Cognito avec fédération SAML et en le connectant à ADFS, les employés peuvent s'authentifier en utilisant leurs identifiants ADFS existants. L'ALB gère l'authentification avant de transmettre les requêtes à l'instance EC2, répondant ainsi à l'exigence de ne pas modifier l'application. L'option avec AWS IAM Identity Center est incorrecte car elle est principalement conçue pour l'accès aux comptes et applications AWS, pas pour protéger une application web existante sans modification. L'option avec le pool d'identités Amazon Cognito et le SDK est incorrecte car elle nécessiterait des modifications de l'application. L'option avec l'authorizer Lambda et un proxy inverse est trop complexe et ne tire pas parti de l'intégration ADFS existante.